PaperCut NG/MF の DB ドライバ名から任意の Java コードが実行される（KEV・悪用確認済み）

Critical（CVSS 9.1）に分類されるPaperCut PaperCut MF / PaperCut NG（自己ホスト型の Application Server）。NVD の該当範囲は 24.1.9 未満 / 25.0.2 以上 25.0.12 未満 / 26.0.2 以上 26.0.4 未満。ベンダは「PaperCut NG と PaperCut MF の全バージョンが対象」と告知しているの脆弱性です。PaperCut MF / NG のデータベース接続ユーティリティに、安全でない動的クラス読み込みがある。**アプリケーションは設定可能なドライバ名をもとにデータベースドライバのクラスを実体化するが、その名前を承認済みドライバの許可リストと照合していない。** そのためシステム設定パラメータを操作できる攻撃者は、PaperCut サーバプロセスの権限で、アプリケーションのクラスパス上にある任意の Java バイトコードを実行できる。NVD の CVSS 3.1 基本値は 9.1（AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H）、ベンダ自身の CVSS 4.0 評価は 9.4（CRITICAL）である。 **単体では「設定を操作できること」が前提条件（PR:H）だが、その前提は同じ緊急パッチで塞がれた CVE-2026-81578 が満たしてしまう。** 81578 は管理画面のアクセス制御不備で、未認証のリモート要求が検証完了前にバックエンド処理を起こし、一部のシステム設定を変更できるというものである。つまり **未認証で設定を書き換え → 書き換えたドライバ名からクラスを読ませてコード実行、という連鎖が成立する**。ベンダが2件を同一の緊急パッチで扱っているのはこのためで、片方だけを見て「権限が要るから急がない」と判断してはいけない。 実際の悪用で残る痕跡もこの経路を裏づけている。ベンダが公開した IoC には `server.log` の `DB URL: jdbc:derby:memory:pwn;create=true`、`DB URL: jdbc:no:x DB Driver: <5文字のランダム名>`、`Database error looking up cardID: VALUES CAST(X'cafebabe`（`cafebabe` は Java クラスファイルの先頭4バイト）が挙がっており、**ドライバ名と DB URL を差し替えてクラスを読み込ませる操作がそのまま記録に出る**。ディスク側には `<install>\server\lib\<5文字>.class` と `<install>\server\data\content\<5文字>.cmd` / `.out` が書かれる。CISA は 2026年8月31日に KEV へ収載し、是正期限を 2026年9月14日に設定した。

**対応は CVE-2026-81578 と同一で、緊急パッチ Release 3 の適用である。** ベンダの掲示は両 CVE の「Mitigated in」を同じ Release 3 と書いており、2件を分けて当てることはできない。Release 3 は過去の緊急リリースを含む累積版なので、初期の緊急パッチや Release 2 で止まっている環境も更新する。 **調査は「ドライバ名と DB URL が書き換えられた形跡」を軸にする。** 具体的には `server.log` を `jdbc:no:x` / `jdbc:derby:memory:pwn` / `VALUES CAST` / `cafebabe` で検索し、`<install>\server\lib\` に5文字のランダム名の `.class` ファイルが無いかを見る。加えて、現在のデータベース接続設定（ドライバクラス名と JDBC URL）が自分が設定したものと一致しているかを目視で確認する。ここが書き換えられたまま残っていれば、パッチ適用後も次回の接続で読み込まれる可能性がある。 **外部データベースをカード／ID 番号の照合に使っている環境は、ベンダの FAQ を必ず読むこと。** 本 CVE はまさにその機能まわりのユーティリティで起きており、Release 3 では「外部カード照合での従来の Microsoft SQL Server ドライバ対応」を復旧させる修正が入っている。つまりこの機能を使っている環境ではパッチによる挙動変化が起こりうる。**KEV 是正期限は 2026年9月14日**である。

PaperCut PaperCut MF / PaperCut NG（自己ホスト型の Application Server）。NVD の該当範囲は 24.1.9 未満 / 25.0.2 以上 25.0.12 未満 / 26.0.2 以上 26.0.4 未満。ベンダは「PaperCut NG と PaperCut MF の全バージョンが対象」と告知している を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/14 です。早急な対応が推奨されます。